JP2006025002A

JP2006025002A - Sip communication control apparatus for carrying out fw control and fw control method thereof

Info

Publication number: JP2006025002A
Application number: JP2004199275A
Authority: JP
Inventors: Junichiro Kuroki; 純一郎黒木; Kazuhito Hayashi; 和仁林; Takao Shibata; 高穂柴田
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2004-07-06
Filing date: 2004-07-06
Publication date: 2006-01-26
Anticipated expiration: 2024-07-06
Also published as: JP4372629B2

Abstract

<P>PROBLEM TO BE SOLVED: To provide a technology for carrying out SIP communication with higher security and saving resources of a NAT/FW apparatus required for opening a pin hole. <P>SOLUTION: A SIP communication apparatus 10 compares "a Global IP address and a Global port number" after conversion acquired when a message passes from a Private network through a Global network with "a Global IP address and a Global port number" acquired when a message passes from the Global network through the Private network. When they are not identical to each other, the apparatus 10 registers "the Global IP address and the Global port number" to a database 110 as a set of the IP address and the port number used for media transmission/reception. When they are identical to each other, the apparatus 10 does not register them to the database 110. <P>COPYRIGHT: (C)2006,JPO&NCIPI

Description

本発明は、アドレス体系の異なるネットワーク間においてＮＡＴ／ＦＷ(Network Address Translation/Fire Wall)装置と連携してＳＩＰ(Session Initiation Protocol)メッセージ内のＩＰアドレス変換と、ＦＷ(Fire Wall)を介してメディア送受信を行うため、ピンホールを登録することでＦＷ制御を行うＳＩＰ通信制御装置およびそのＦＷ制御方法に関する。 In the present invention, between networks having different address systems, in cooperation with a NAT / FW (Network Address Translation / Fire Wall) device, IP address conversion in a SIP (Session Initiation Protocol) message and media via FW (Fire Wall) The present invention relates to a SIP communication control apparatus that performs FW control by registering a pinhole for transmission and reception, and a FW control method thereof.

ＳＩＰはアプリケーションレイヤにもＩＰアドレス情報が記載されるため、ＧｌｏｂａｌＩＰアドレス、ＰｒｉｖａｔｅＩＰアドレスなどアドレス体系の異なるネットワーク間においてＳＩＰ通信を行うためには、ＮＡＴ装置により行われるネットワークレイヤのアドレス変換に加えて、ＳＩＰメッセージ内のアドレス変換を行う必要がある。その方法の一つとして、ＡＬＧ(Application Level Gateway)装置がＮＡＴ装置と連携することによりＳＩＰメッセージ内のアドレス変換を行なう方法が一般的に知られている。この方法を実現するためには、ＡＬＧ装置およびＮＡＴ装置で「Ｐｒｉｖａｔｅアドレス」と「変換後Ｇｌｏｂａｌアドレス」を効率良く管理する必要があるが、その詳細技術については非特許文献１「ＳＩＰアプリケーションレベルゲートウェイ（ＳＩＰ−ＡＬＧ）におけるアドレス変換エントリの管理方式に関する一考察」において紹介されている。 In SIP, since IP address information is also described in the application layer, in order to perform SIP communication between networks having different address systems such as a global IP address and a private IP address, in addition to the network layer address conversion performed by the NAT device. Thus, it is necessary to perform address conversion in the SIP message. As one of the methods, there is generally known a method in which an ALG (Application Level Gateway) device performs address conversion in a SIP message by cooperating with a NAT device. In order to realize this method, it is necessary to efficiently manage the “Private address” and the “Global address after conversion” in the ALG device and the NAT device. (SIP-ALG) “Consideration on Address Translation Entry Management System”.

また、ＦＷ装置を介してＳＩＰ通信を行う場合、ＲＴＰ(Real-time Transport Protocol)を用いて行われるメディア通信については端末が任意に設定するＰｏｒｔ番号を用いて通信を行うため、ＦＷの通過が不可能となる。この問題を解決する一つの方法として、ＳＩＰメッセージのＳＤＰ(Session Description Protocol)部分を解析し、端末がＲＴＰの送受信に用いるＩＰアドレス、Ｐｏｒｔ番号のみを一時的に通過可能とするように、ＮＡＴ／ＦＷ装置を動的に制御するピンホール制御方式が一般的である。ここで、ＦＷ装置は通常ＮＡＴ機能も同時に動作させるケースが多いため、ＮＡＴ／ＦＷ装置に対してＡＬＧ装置からピンホールの制御をする詳細技術について非特許文献２「ＳＩＰアプリケーションレベルゲートウェイ（ＳＩＰ−ＡＬＧ）におけるファイアウォール制御方式に関する一検討」において紹介されている。 In addition, when performing SIP communication via an FW device, media communication performed using RTP (Real-time Transport Protocol) is performed using a port number arbitrarily set by the terminal. It becomes impossible. One method for solving this problem is to analyze the SDP (Session Description Protocol) portion of the SIP message, so that the terminal can temporarily pass only the IP address and Port number used for RTP transmission / reception. A pinhole control system that dynamically controls the FW device is common. Here, since the FW device usually operates the NAT function at the same time, a detailed technique for controlling pinholes from the ALG device to the NAT / FW device is described in Non-Patent Document 2 “SIP Application Level Gateway (SIP-ALG ) A study on firewall control method in ”.

林和仁、柴田高穂、諏訪裕一、小幡洋昭、黒木純一郎、「ＳＩＰアプリケーションレベルゲートウェイ（ＳＩＰ−ＡＬＧ）におけるアドレス変換エントリの管理方式に関する一考察」、電子情報通信学会技術研究報告、ｖｏｌ．１０２、Ｎｏ．５１２、ＮＳ２００２−１８８、ｐ．２５−２８、Ｄｅｃ．２００２Kazuhito Hayashi, Takaho Shibata, Yuichi Suwa, Hiroaki Kosuge, Junichiro Kuroki, “A Study on Management Method of Address Translation Entries in SIP Application Level Gateway (SIP-ALG)”, IEICE Technical Report, vol. 102, no. 512, NS2002-188, p. 25-28, Dec. 2002 黒木純一郎、林和仁、諏訪裕一、柴田高穂、「ＳＩＰアプリケーションレベルゲートウェイ（ＳＩＰ−ＡＬＧ）におけるファイアウォール制御方式に関する一検討」、電子情報通信学会技術研究報告、ｖｏｌ．１０２、Ｎｏ．６９１、ＮＳ２００２−２４８、ｐ．１０５−１０８、Ｍａｒ．２００３Junichiro Kuroki, Kazuhito Hayashi, Yuichi Suwa, Takaho Shibata, “A Study on Firewall Control Method in SIP Application Level Gateway (SIP-ALG)”, IEICE Technical Report, vol. 102, no. 691, NS2002-248, p. 105-108, Mar. 2003

しかし、非特許文献１「ＳＩＰアプリケーションレベルゲートウェイ（ＳＩＰ−ＡＬＧ）におけるファイアウォール制御方式に関する一検討」において紹介されているような従来の方法では、ＡＬＧ装置は特に接続の形態（送受信端末の位置関係）まで意識してピンホール制御を行なっているわけではない。例えば、Ｇｌｏｂａｌネットワークに配備されたＳＩＰＳｅｒｖｅｒを経由して同一のＰｒｉｖａｔｅ側ネットワーク内の２端末で通信を行なう場合、すなわちＳＩＰシグナリングがＰｒｉｖａｔｅからＧｌｏｂａｌの方向でＮＡＴ／ＦＷ装置を経由してＳＩＰＳｅｒｖｅｒに到達し、その後ＧｌｏｂａｌからＰｒｉｖａｔｅの方向へ同一のＮＡＴ／ＦＷ装置を経由して折り返す場合、ＡＬＧ装置は接続の形態を意識しているわけではないため、ＮＡＴ／ＦＷ装置に対してピンホールの登録を行なってしまう。しかし、同一ネットワーク内の通信であるため、ＳＩＰＳｅｒｖｅｒを介する必要のない音声、映像のメディアについてはＰｒｉｖａｔｅ側のネットワーク内でルーティングされることとなり、その結果として不要なピンホールを登録してしまうこととなってしまい、セキュリティ上の懸念がある。本発明の目的は、よりセキュリティの高いＳＩＰ通信を可能とすると共に、ピンホールを開放するために必要となるＮＡＴ／ＦＷ装置のリソースを節約することを可能とする技術を提供することにある。 However, in the conventional method as introduced in Non-Patent Document 1 “Study on Firewall Control Method in SIP Application Level Gateway (SIP-ALG)”, the ALG device particularly has a connection form (positional relationship between transmitting and receiving terminals). The pinhole control is not done consciously. For example, when communication is performed between two terminals in the same private network via a SIP server deployed in the global network, that is, SIP signaling is directed from the private to the global via the NAT / FW device to the SIP server. If it arrives and then turns back in the direction from Global to Private via the same NAT / FW device, the ALG device is not aware of the connection form, so the pinhole registration with the NAT / FW device Will be done. However, since the communication is within the same network, audio and video media that do not need to go through the SIP Server will be routed within the private network, and as a result, unnecessary pinholes will be registered. There is a security concern. An object of the present invention is to provide a technique that enables SIP communication with higher security and saves resources of a NAT / FW device required for opening a pinhole.

本発明のＦＷ制御を行うＳＩＰ通信制御装置は、ネットワークレイヤの送受信ＩＰアドレスとトランスポートレイヤの送受信ポート番号の組により、アクセス制御を行うファイアウォール（ＦＷ）機能、ならびに、「ＰｒｉｖａｔｅＩＰアドレス、Ｐｒｉｖａｔｅポート番号」と「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」の変換、およびそれらの逆変換を行うＮＡＴ(Network Address Translation)機能を配備した、ＮＡＴ／ＦＷ装置と連携して、ＳＩＰ(Session Initiation Protocol)メッセージ内のＩＰアドレス変換機能、ＳＤＰ(Session Description Protocol)の情報を管理しているデータベース、および、前記データベースに登録された情報に基づいてメディア送受信に用いるＩＰアドレス、ポート番号の組を前記ＮＡＴ／ＦＷ装置に登録することで前記ＩＰアドレス、ポート番号の組のメディア通信のみＦＷを通過させることを可能とするＦＷ制御機能を配備したＳＩＰ通信制御装置であって、前記メディア送受信に用いるＩＰアドレス、ポート番号を取得する際に、メッセージがＰｒｉｖａｔｅネットワークからＧｌｏｂａｌネットワークへ通過する際に取得した変換後「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」と、メッセージがＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」を比較する手段と、前記変換後「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」と前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」が同一でない場合は、前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」の組を前記データベースに登録する手段と、前記変換後「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」と前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」が同一である場合は、前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」の組を前記データベースに登録しない手段と、を有することを特徴とする。 The SIP communication control apparatus for performing FW control according to the present invention includes a firewall (FW) function for performing access control based on a combination of a transmission / reception IP address of a network layer and a transmission / reception port number of a transport layer, and “Private IP address, Private port”. In a SIP (Session Initiation Protocol) message in cooperation with a NAT / FW device that has a NAT (Network Address Translation) function that performs conversion of "number" and "Global IP address, Global port number" and reverse conversion of them. The NAT / FW device includes a set of IP address conversion function, database for managing SDP (Session Description Protocol) information, and IP address and port number used for media transmission / reception based on the information registered in the database By registering with A SIP communication control device provided with a FW control function that allows only FW communication to pass through media communication of a set of IP address and port number, when acquiring the IP address and port number used for the media transmission / reception , “Global IP address, global port number” obtained when the message passes from the private network to the global network, and “Global IP address, global port number” obtained when the message passes from the global network to the private network. ”And“ Global IP address, global port number ”after conversion and“ Global ”acquired when passing from the Global network to the Private network. If the “P address and Global port number” are not the same, a means for registering a set of “Global IP address and Global port number” acquired when passing from the Global network to the Private network in the database; If the "Global IP address, Global port number" is the same as the "Global IP address, Global port number" obtained when passing from the Global network to the Private network, it will be obtained when passing from the Global network to the Private network. And means for not registering the set of “Global IP address and Global port number” in the database.

本発明のＳＩＰ通信制御装置におけるＦＷ制御方法は、ネットワークレイヤの送受信ＩＰアドレスとトランスポートレイヤの送受信ポート番号の組により、アクセス制御を行うファイアウォール（ＦＷ）機能、ならびに、「ＰｒｉｖａｔｅＩＰアドレス、Ｐｒｉｖａｔｅポート番号」と「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」の変換、およびそれらの逆変換を行うＮＡＴ(Network Address Translation)機能を配備した、ＮＡＴ／ＦＷ装置と連携して、ＳＩＰ(Session Initiation Protocol)メッセージ内のＩＰアドレス変換機能、ＳＤＰ(Session Description Protocol)の情報を管理しているデータベース、および、前記データベースに登録された情報に基づいてメディア送受信に用いるＩＰアドレス、ポート番号の組を前記ＮＡＴ／ＦＷ装置に登録することで前記ＩＰアドレス、ポート番号の組のメディア通信のみＦＷを通過させることを可能とするＦＷ制御機能を配備したＳＩＰ通信制御装置におけるＦＷ制御方法であって、前記メディア送受信に用いるＩＰアドレス、ポート番号を取得する際に、メッセージがＰｒｉｖａｔｅネットワークからＧｌｏｂａｌネットワークへ通過する際に取得した変換後「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」と、メッセージがＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」を比較するステップと、前記変換後「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」と前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」が同一でない場合は、前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」の組を前記データベースに登録するステップと、前記変換後「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」と前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」が同一である場合は、前記ＧｌｏｂａｌネットワークからＰｒｉｖａｔｅネットワークへ通過する際に取得した「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」の組を前記データベースに登録しないステップと、を有することを特徴とする。 The FW control method in the SIP communication control apparatus according to the present invention includes a firewall (FW) function for performing access control based on a combination of a transmission / reception IP address of a network layer and a transmission / reception port number, and “Private IP address, Private port”. In a SIP (Session Initiation Protocol) message in cooperation with a NAT / FW device that has a NAT (Network Address Translation) function that performs conversion of "number" and "Global IP address, Global port number" and reverse conversion of them. The NAT / FW device includes a set of IP address conversion function, database for managing SDP (Session Description Protocol) information, and IP address and port number used for media transmission / reception based on the information registered in the database Register with And a FW control method in a SIP communication control device provided with a FW control function that allows FW to pass only through media communication of the set of the IP address and port number, and the IP address and port used for the media transmission / reception When acquiring the number, the "Global IP address, Global port number" obtained when the message passes from the private network to the global network and the "Global" acquired when the message passes from the global network to the private network. "IP address, Global port number" comparing step, and "Global IP address, Global port number" after the conversion and passing from the Global network to the Private network When the “Global IP address and Global port number” acquired at the time of registration are not the same, the set of “Global IP address and Global port number” acquired when passing from the Global network to the Private network is registered in the database. If the “Global IP address, Global port number” after the conversion and the “Global IP address, Global port number” acquired when passing from the Global network to the Private network are the same, the private network sends the Private And not registering a set of “Global IP address and Global port number” acquired when passing through the network in the database. It is characterized in.

本発明に係るＳＩＰ通信制御装置を用いることで、従来のように同一ネットワーク内の通信で、メディアはネットワーク内をＮＡＴ／ＦＷ装置を経由することなく送受信しているにもかかわらず、ＮＡＴ／ＦＷ装置に対して不要なピンホールの登録を行なうということを抑止することが可能となる。その結果、よりセキュリティの高いＳＩＰ通信が可能となると共に、ピンホールを開放するために必要となるＮＡＴ／ＦＷ装置のリソースを節約することが可能となると期待できる。 By using the SIP communication control apparatus according to the present invention, the medium is transmitted / received through the network without going through the NAT / FW apparatus in the communication in the same network as in the past, but the NAT / FW Registration of unnecessary pinholes to the device can be suppressed. As a result, it is expected that SIP communication with higher security becomes possible and resources of the NAT / FW device necessary for opening the pinhole can be saved.

以下に本発明の実施の形態として、ＳＩＰ通信制御装置およびＮＡＴ／ＦＷ装置を用いてアドレス体系の異なるネットワーク間においてＶｏＩＰ通信を行う場合を例に図１〜図４を用いて詳細に説明する。なお、ステップをＳと略記する。 Hereinafter, as an embodiment of the present invention, a case where VoIP communication is performed between networks having different address systems using a SIP communication control device and a NAT / FW device will be described in detail with reference to FIGS. Step is abbreviated as S.

図１は、本発明の実施形態のＳＩＰ通信制御装置およびＮＡＴ／ＦＷ装置を用いてＩＰアドレス体系の異なるネットワーク間においてＶｏＩＰ通信を行う際のシステムの全体構成の一例を説明するためのブロック図である。 FIG. 1 is a block diagram for explaining an example of the overall configuration of a system for performing VoIP communication between networks having different IP address systems using the SIP communication control device and the NAT / FW device according to the embodiment of the present invention. is there.

図２は、本発明の実施形態のＳＩＰ通信制御装置およびＮＡＴ／ＦＷ装置を用いて、Ｇｌｏｂａｌネットワークに配備されたＳＩＰＳｅｒｖｅｒを経由して、Ｐｒｉｖａｔｅネットワークの端末と、Ｇｌｏｂａｌネットワークの端末間でＶｏＩＰ通信を行う場合の一般的な信号シーケンスおよびＳＩＰ通信制御装置の動作概要を説明するための図である。なお、図２に記載されるシーケンスは本発明の実施形態の説明に必要な部分だけを記載することにより簡略化している。 FIG. 2 illustrates a VoIP communication between a private network terminal and a global network terminal via a SIP server deployed in the global network, using the SIP communication control apparatus and the NAT / FW apparatus according to the embodiment of the present invention. It is a figure for demonstrating the general signal sequence in the case of performing and operation | movement outline | summary of a SIP communication control apparatus. Note that the sequence shown in FIG. 2 is simplified by describing only the portions necessary for the description of the embodiment of the present invention.

図３は、本発明の実施形態のＳＩＰ通信制御装置およびＮＡＴ／ＦＷ装置を用いて、Ｇｌｏｂａｌネットワークに配備されたＳＩＰＳｅｒｖｅｒを経由して、同一のＰｒｉｖａｔｅネットワークの端末間でＶｏＩＰ通信を行う場合の一般的な信号シーケンスおよびＳＩＰ通信制御装置の動作概要を説明するための図である。なお、図３に記載されるシーケンスは本発明の実施形態の説明に必要な部分だけを記載することにより簡略化している。 FIG. 3 shows a case where VoIP communication is performed between terminals of the same private network via a SIP server deployed in the global network using the SIP communication control device and the NAT / FW device of the embodiment of the present invention. It is a figure for demonstrating the general signal sequence and the operation | movement outline | summary of a SIP communication control apparatus. Note that the sequence described in FIG. 3 is simplified by describing only the portions necessary for describing the embodiment of the present invention.

図４は、本発明の実施形態のＳＩＰ通信制御装置において、ＳＩＰメッセージを受信した後に、通信の経路を識別してピンホールを登録するか否かを判断する際の処理フローを示した図である。 FIG. 4 is a diagram showing a processing flow when the SIP communication control apparatus according to the embodiment of the present invention determines whether to identify a communication path and register a pinhole after receiving a SIP message. is there.

本発明の実施形態のＳＩＰ通信制御装置およびＮＡＴ／ＦＷ装置が用いられるシステムの全体構成の一例を図１を用いて説明する。
ＳＩＰ通信制御装置１０は、ＮＡＴ／ＦＷ装置２０と接続されており、ＮＡＴ／ＦＷ装置２０はアドレス体系の異なるネットワーク、ネットワークＡ（Ｐｒｉｖａｔｅネットワーク）３０およびネットワークＢ（Ｇｌｏｂａｌネットワーク）３１を収容した構成となっている。 An example of the overall configuration of a system in which the SIP communication control device and the NAT / FW device according to the embodiment of the present invention are used will be described with reference to FIG.
The SIP communication control device 10 is connected to a NAT / FW device 20, and the NAT / FW device 20 includes a network having a different address system, a network A (Private network) 30 and a network B (Global network) 31. It has become.

ＳＩＰ通信制御装置１０は情報処理部１００、データベース１１０により構成されており、情報処理部１００は通信経路識別機能１０１０を有するＦＷ制御機能１０１とＳＩＰメッセージ内のＩＰアドレス変換機能１０２を備え、データベース１１０はＳＤＰ情報管理テーブルを有しＳＤＰの情報を管理している。 The SIP communication control apparatus 10 includes an information processing unit 100 and a database 110. The information processing unit 100 includes a FW control function 101 having a communication path identification function 1010 and an IP address conversion function 102 in a SIP message. Has an SDP information management table and manages SDP information.

ＮＡＴ／ＦＷ装置２０はＮＡＴ機能２１０およびＦＷ機能２００を有する。ここでＦＷ機能はＮＡＴ変換前のアドレス体系のネットワーク、ＮＡＴ変換前のアドレス体系のネットワークそれぞれに配備されている。 The NAT / FW device 20 has a NAT function 210 and an FW function 200. Here, the FW function is provided in each of an address system network before NAT conversion and an address system network before NAT conversion.

ネットワークＡ（Ｐｒｉｖａｔｅネットワーク）３０はスイッチ３０１を介して、ＩＰ電話端末Ａ３０２−ａ、ＩＰ電話端末Ｂ３０２−ｂと接続されており、またネットワークＢ（Ｇｌｏｂａｌネットワーク）３１はスイッチ３１１を介してＩＰ電話端末Ｃ３１３、およびＳＩＰＳｅｒｖｅｒ３１２と接続されている。 The network A (Private network) 30 is connected to the IP telephone terminal A 302 -a and the IP telephone terminal B 302 -b via the switch 301, and the network B (Global network) 31 is connected to the IP telephone terminal via the switch 311. C313 and SIP server 312 are connected.

次に、本発明の実施形態における信号シーケンスおよびＳＩＰ通信制御装置の動作概要を説明する。以下の説明では煩雑さを避けるためＩＰアドレスの変換についてのみ説明するが、実際には、アドレス変換は「ＰｒｉｖａｔｅＩＰアドレス、Ｐｒｉｖａｔｅポート番号」と「ＧｌｏｂａｌＩＰアドレス、Ｇｌｏｂａｌポート番号」の組について行われ、また、データベース１１０のＳＤＰ情報管理テーブル等への登録、メディア送受信に用いるＩＰアドレス、ポート番号の組としてのＮＡＴ／ＦＷ装置への登録もこれらの組によって行われる。 Next, a signal sequence and an outline of the operation of the SIP communication control device according to the embodiment of the present invention will be described. In the following description, only IP address conversion will be described in order to avoid complication, but in reality, address conversion is performed for a pair of “Private IP address, Private port number” and “Global IP address, Global port number”. Also, registration to the SDP information management table of the database 110, registration to the NAT / FW device as a set of IP address and port number used for media transmission / reception is also performed by these sets.

図２のシーケンス例および図４の処理フローを用いて、ＰｒｉｖａｔｅネットワークのＩＰ電話端末Ａ３０２−ａから発呼され、ＧｌｏｂａｌネットワークのＳＩＰＳｅｒｖｅｒ３１２を介して、ＧｌｏｂａｌネットワークのＩＰ電話端末Ｃ３１３に着信する場合のＳＩＰ通信制御装置１０およびＮＡＴ／ＦＷ装置２０の動作の説明を行う。図２の例では、ＩＰ電話端末Ａ３０２−ａのＰｒｉｖａｔｅＩＰアドレスは１９２．１６８．０．１であり、ＩＰ電話端末Ｃ３１３のＧｌｏｂａｌＩＰアドレスは１４０．０．０．１である。 2 and the processing flow of FIG. 4, a call is made from the IP telephone terminal A302-a of the private network, and arrives at the IP telephone terminal C313 of the global network via the SIP server 312 of the global network. Operations of the SIP communication control device 10 and the NAT / FW device 20 will be described. In the example of FIG. 2, the private IP address of IP telephone terminal A302-a is 192.168.0.1, and the global IP address of IP telephone terminal C313 is 140.0.0.1.

ＩＰ電話端末Ａ３０２−ａから送信されたＩＮＶＩＴＥメッセージをＮＡＴ／ＦＷ装置２０において受信すると、ＮＡＴ／ＦＷ装置２０は、ネットワークレイヤのＩＰアドレス変換を行なった後、アプリケーションレイヤにおけるＳＩＰのアドレス変換を行う処理およびＦＷを制御するための処理のためＩＮＶＩＴＥメッセージをＳＩＰ通信制御装置１０へと転送する。ＳＩＰ通信制御装置１０では、ＩＮＶＩＴＥメッセージを受信すると、ＳＩＰメッセージ内のＩＰアドレス変換機能１０２により、ＮＡＴ／ＦＷ装置２０によって変換されたネットワークレイヤのＩＰアドレスに基づいて、ＳＩＰメッセージ内のＰｒｉｖａｔｅアドレスをＧｌｏｂａｌアドレスへと変換する（図４のＳ１０１、Ｓ１０２）。図２の例では、ＩＰ電話端末Ａ３０２−ａのＰｒｉｖａｔｅＩＰアドレス１９２．１６８．０．１をＧｌｏｂａｌＩＰアドレス１３０．０．０．１へ変換している（Ｓ１２１）。ＳＩＰのアドレス変換の詳細な方法については本出願人による関連特許出願の明細書、特願２００２−３３０３００号明細書「アドレス変換組の生存時間取得・計算を可能としたＡＬＧ装置」、特願２００２−３３２３００号明細書「ＡＰＩおよびそれを用いた通信」、特願２００２−３３３５４１号明細書「アプリケーションレイヤにおけるアドレス変換装置」、特願２００２−３２７０８５号明細書「ＩＰアドレス変換装置」、特願２００４−０１０４３０号明細書「複数ＮＡＴ／ＦＷ制御装置接続に対応したＳＩＰ−ＡＬＧの呼関連リソース管理方法及びそのＳＩＰ−ＡＬＧ」、特願２００４−００３９６７号明細書「ＳＩＰ−ＡＬＧの呼状態管理方法」に示されている。 When the NAT / FW device 20 receives the INVITE message transmitted from the IP telephone terminal A302-a, the NAT / FW device 20 performs the IP address conversion of the network layer and then performs the SIP address conversion in the application layer. Then, the INVITE message is transferred to the SIP communication control apparatus 10 for processing for controlling the FW. When the SIP communication control device 10 receives the INVITE message, the IP address conversion function 102 in the SIP message uses the IP address of the network layer converted by the NAT / FW device 20 by the IP address conversion function 102 to set the Private address in the SIP message to Global. Conversion into an address (S101, S102 in FIG. 4). In the example of FIG. 2, the private IP address 192.168.0.1 of the IP telephone terminal A302-a is converted to the global IP address 130.0.0.1 (S121). The detailed method of SIP address translation is described in the specification of the related patent application filed by the present applicant, Japanese Patent Application No. 2002-330300, “ALG device capable of acquiring and calculating the lifetime of the address translation group”, Japanese Patent Application 2002 No. -332300 “API and communication using the same”, Japanese Patent Application No. 2002-333541 “Address Translation Device in Application Layer”, Japanese Patent Application No. 2002-327085 “IP Address Translation Device”, Japanese Patent Application No. 2004 -010430 specification "SIP-ALG call related resource management method and its SIP-ALG corresponding to multiple NAT / FW controller connection", Japanese Patent Application No. 2004-003967 "SIP-ALG call state management method" Is shown in

次に、ピンホールを登録するため、ＦＷ制御機能１０１においてＳＤＰのＰｒｉｖａｔｅアドレスと、変換後Ｇｌｏｂａｌアドレスをデータベース１１０のＳＤＰ情報管理テーブルへと格納する（図４のＳ１０３）。図２の例では、ＩＰ電話端末Ａ３０２−ａのＰｒｉｖａｔｅＩＰアドレス（図２ではＬｏｃａｌと表記）１９２．１６８．０．１と変換後のＧｌｏｂａｌＩＰアドレス（図２では変換後Ｇｌｏｂａｌと表記）１３０．０．０．１がデータベース１１０のＳＤＰ情報管理テーブル（図２ではＳＤＰテーブルと表記）に保持される（Ｓ１２１）。なお、ピンホールとはＮＡＴ／ＦＷ装置２０のＦＷ機能２００に対するフィルタのことであり、ＦＷ機能２００は登録された送受信ＩＰアドレス、送受信ポート番号の組と一致したＩＰアドレス、ポート番号のパケットのみを通過させる。本実施形態においては、ＳＩＰ通信制御装置１０がＮＡＴ／ＦＷ装置２０のＦＷ機能２００にピンホールの登録を行い、メディア信号（主にＲＴＰ：Real Time Transport Protocol）をＩＰ電話端末Ａ３０２−ａ、ＩＰ電話端末Ｃ３１３間で送受信できるようにし、また、メディア信号の送受信が終了したときはピンホール削除を行う。ピンホールの登録方法については、本出願人による特願２００３−０４１３２８号明細書「ＳＩＰ通信制御装置」、特願２００３−０１０４３０号明細書「複数ＮＡＴ／ＦＷ装置接続に対応したＳＩＰ−ＡＬＧの呼関連リソース管理方法及びそのＳＩＰ−ＡＬＧ」に示されている。 Next, in order to register the pinhole, the FW control function 101 stores the private address of the SDP and the converted global address in the SDP information management table of the database 110 (S103 in FIG. 4). In the example of FIG. 2, the private IP address of IP phone terminal A302-a (indicated as “Local” in FIG. 2) 192.168.0.1 and the converted global IP address (indicated in FIG. 2 as converted Global) 130. 0.0.1 is held in the SDP information management table (denoted as the SDP table in FIG. 2) of the database 110 (S121). The pinhole is a filter for the FW function 200 of the NAT / FW device 20, and the FW function 200 only receives a packet having a registered transmission / reception IP address and a transmission / reception port number matching an IP address and port number. Let it pass. In the present embodiment, the SIP communication control device 10 registers a pinhole in the FW function 200 of the NAT / FW device 20, and sends a media signal (mainly RTP: Real Time Transport Protocol) to the IP telephone terminal A302-a, IP Transmission / reception can be performed between the telephone terminals C313, and pinhole deletion is performed when transmission / reception of media signals is completed. Regarding the pinhole registration method, Japanese Patent Application No. 2003-041328 “SIP communication control device” and Japanese Patent Application No. 2003-010430 “SIP-ALG call corresponding to connection of multiple NAT / FW devices” by the present applicant. Related resource management method and its SIP-ALG ".

ＳＩＰ通信制御装置１０でＳＩＰメッセージ内のアドレス変換が行われたＩＮＶＩＴＥメッセージは、ＮＡＴ／ＦＷ装置２０に戻され、ＳＩＰＳｅｒｖｅｒ３１２を経由し、ＧｌｏｂａｌのＩＰ電話端末Ｃ３１３に着信し、応答信号である２００ＯＫメッセージが生成される。ＩＮＶＩＴＥメッセージと同様に２００ＯＫメッセージも前記ＮＡＴ／ＦＷ装置２０から前記ＳＩＰ通信制御装置１０へと転送され、ＧｌｏｂａｌのＳＤＰ情報を取得する（図４のＳ１０４）。図２の例では、受信した２００ＯＫメッセージに記載されたＩＰ電話端末Ｃ３１３のＧｌｏｂａｌＩＰアドレス１４０．０．０．１を取得する（Ｓ１２２）。その後、Ｓ１２１でデータベース１１０のＳＤＰ情報管理テーブルへと格納した変換後ＧｌｏｂａｌアドレスとＳ１２２で取得したＧｌｏｂａｌアドレスを比較して同一か否か識別する（図４のＳ１０５）。ここで、２００ＯＫメッセージに記載されたＧｌｏｂａｌアドレスはＩＰ電話端末Ｃ３１３が設定したアドレスであるため、データベース１１０のＳＤＰ情報管理テーブルに格納されている変換後ＧｌｏｂａｌアドレスとＳ１２２で取得したＧｌｏｂａｌアドレスは同一とならず、Ｐｒｉｖａｔｅネットワーク、Ｇｌｏｂａｌネットワーク間の通信であると判断できるため、Ｇｌｏｂａｌアドレスをデータベース１１０のＳＤＰ情報管理テーブルへと格納する（図４のＳ２０１）。図２の例では、データベース１１０のＳＤＰ情報管理テーブルに保持されている変換後ＧｌｏｂａｌＩＰアドレスは１３０．０．０．１で、２００ＯＫメッセージに記載されたＧｌｏｂａｌＩＰアドレスは１４０．０．０．１であり、これらを比較すると同一ではないため、２００ＯＫメッセージに記載されたＩＰ電話端末Ｃ３１３のＧｌｏｂａｌＩＰアドレス１４０．０．０．１をＳＤＰ情報管理テーブルへ保持する（Ｓ１２３）。その後、従来の方法に基づき、必要に応じてＳＤＰ情報管理テーブルに保持（登録）された情報に基づいてピンホールの登録を行いメディアのＦＷ通過を可能とする（図４のＳ２０２）。図２の例では、ＳＩＰ通信制御装置１０は、ＳＤＰ情報管理テーブルに保持されているＩＰ電話端末Ａ３０２−ａのＰｒｉｖａｔｅＩＰアドレス（図２ではＬｏｃａｌと表記）１９２．１６８．０．１と変換後のＧｌｏｂａｌＩＰアドレス（図２では変換後Ｇｌｏｂａｌと表記）１３０．０．０．１と、ＩＰ電話端末Ｃ３１３のＧｌｏｂａｌＩＰアドレス（図２ではＧｌｏｂａｌと表記）１４０．０．０．１を、メディア送受信に用いるＩＰアドレス、ポート番号としてＮＡＴ／ＦＷ装置２０にピンホール登録し（Ｓ１２４）、ＩＰ電話端末Ａ３０２−ａに２００ＯＫメッセージを送信する。ＮＡＴ／ＦＷ装置２０は、ピンホール登録されたＩＰアドレス、ポート番号の組のメディア通信のみＦＷ機能２００を通過させ、それにより、ＩＰ電話端末Ａ３０２−ａとＩＰ電話端末Ｃ３１３との間のメディア通信が可能となる。 The INVITE message whose address has been converted in the SIP message by the SIP communication control device 10 is returned to the NAT / FW device 20, arrives at the global IP telephone terminal C 313 via the SIP Server 312, and is a response signal 200. An OK message is generated. Similar to the INVITE message, the 200 OK message is also transferred from the NAT / FW device 20 to the SIP communication control device 10 to obtain Global SDP information (S104 in FIG. 4). In the example of FIG. 2, the global IP address 140.0.0.1 of the IP telephone terminal C313 described in the received 200 OK message is acquired (S122). Thereafter, the converted Global address stored in the SDP information management table of the database 110 in S121 is compared with the Global address acquired in S122 to identify whether or not they are the same (S105 in FIG. 4). Here, since the Global address described in the 200 OK message is an address set by the IP telephone terminal C313, the converted Global address stored in the SDP information management table of the database 110 and the Global address acquired in S122 are the same. Therefore, since it can be determined that the communication is between the private network and the global network, the global address is stored in the SDP information management table of the database 110 (S201 in FIG. 4). In the example of FIG. 2, the converted Global IP address held in the SDP information management table of the database 110 is 130.0.0.1, and the Global IP address described in the 200 OK message is 140.0.0. 1. Since these are not the same when compared, the global IP address 140.0.0.1 of the IP telephone terminal C313 described in the 200 OK message is held in the SDP information management table (S123). Thereafter, based on the conventional method, if necessary, pinhole registration is performed based on information held (registered) in the SDP information management table to allow media to pass through FW (S202 in FIG. 4). In the example of FIG. 2, the SIP communication control device 10 converts the private IP address (denoted as Local in FIG. 2) 192.168.0.1 of the IP telephone terminal A302-a held in the SDP information management table to Media IP address (indicated in FIG. 2 as converted Global) 130.0.0.1 and IP phone terminal C313 Global IP address (indicated in FIG. 2 as Global) 140.0.0.1 A pinhole is registered in the NAT / FW device 20 as an IP address and a port number used for (S124), and a 200 OK message is transmitted to the IP telephone terminal A302-a. The NAT / FW device 20 passes only the media communication of the pair of the IP address and port number registered in the pinhole through the FW function 200, whereby the media communication between the IP telephone terminal A302-a and the IP telephone terminal C313 is performed. Is possible.

次に、図３のシーケンス例および図４の処理フローを用いて、ＰｒｉｖａｔｅネットワークのＩＰ電話端末Ａ３０２−ａから発呼され、ＧｌｏｂａｌネットワークのＳＩＰＳｅｒｖｅｒ３１２を経由し、折り返し、ＩＰ電話端末Ａ３０２−ａが属するＰｒｉｖａｔｅネットワークと同一ＰｒｉｖａｔｅネットワークのＩＰ電話端末Ｂ３０２−ｂに着信する場合のＳＩＰ通信制御装置１０およびＮＡＴ／ＦＷ装置２０の動作の説明を行う。ＩＰ電話端末Ａ３０２−ａとＩＰ電話端末Ｂ３０２−ｂは同一Ｐｒｉｖａｔｅネットワークに存在しており、図３の例では、ＩＰ電話端末Ａ３０２−ａのＰｒｉｖａｔｅＩＰアドレスは１９２．１６８．０．１であり、ＩＰ電話端末Ｂ３０２−ｂのＰｒｉｖａｔｅＩＰアドレスは１９２．１６８．０．２である。 Next, using the sequence example of FIG. 3 and the processing flow of FIG. 4, a call is made from the IP telephone terminal A302-a of the private network, and then returned via the SIP server 312 of the global network. The operation of the SIP communication control device 10 and the NAT / FW device 20 when receiving an incoming call to the IP telephone terminal B302-b of the same private network as the private network to which it belongs is described. The IP telephone terminal A302-a and the IP telephone terminal B302-b exist in the same private network. In the example of FIG. 3, the private IP address of the IP telephone terminal A302-a is 192.168.0.1. The private IP address of the IP telephone terminal B302-b is 192.168.0.2.

ＳＩＰ通信制御装置１０において、ＩＰ電話端末Ａ３０２−ａから送信されたＩＮＶＩＴＥメッセージを受信し、ＳＩＰメッセージ内のＰｒｉｖａｔｅアドレスをＧｌｏｂａｌアドレスへと変換するところまでは、図２を用いて説明したＰｒｉｖａｔｅ、Ｇｌｏｂａｌ端末間の通信と同様であり、次のように処理がなされる。ＩＰ電話端末Ａ３０２−ａから送信されたＩＮＶＩＴＥメッセージをＮＡＴ／ＦＷ装置２０において受信すると、ＮＡＴ／ＦＷ装置２０は、ネットワークレイヤのＩＰアドレス変換を行なった後、アプリケーションレイヤにおけるＳＩＰのアドレス変換を行う処理およびＦＷを制御するための処理のためＩＮＶＩＴＥメッセージをＳＩＰ通信制御装置１０へと転送する。ＳＩＰ通信制御装置１０では、ＩＮＶＩＴＥメッセージを受信すると、ＳＩＰメッセージ内のＩＰアドレス変換機能１０２により、ＮＡＴ／ＦＷ装置２０によって変換されたネットワークレイヤのＩＰアドレスに基づいて、ＳＩＰメッセージ内のＰｒｉｖａｔｅアドレスをＧｌｏｂａｌアドレスへと変換する（図４のＳ１０１、Ｓ１０２）。図３の例では、ＩＰ電話端末Ａ３０２−ａのＰｒｉｖａｔｅＩＰアドレス１９２．１６８．０．１をＧｌｏｂａｌＩＰアドレス１３０．０．０．１へ変換している（Ｓ１３１）。次に、ピンホールを登録するため、ＦＷ制御機能１０１においてＳＤＰのＰｒｉｖａｔｅアドレスと、変換後Ｇｌｏｂａｌアドレスをデータベース１１０のＳＤＰ情報管理テーブルへと格納する（図４のＳ１０３）。図３の例では、ＩＰ電話端末Ａ３０２−ａのＰｒｉｖａｔｅＩＰアドレス（図３ではＬｏｃａｌと表記）１９２．１６８．０．１と変換後のＧｌｏｂａｌＩＰアドレス（図３では変換後Ｇｌｏｂａｌと表記）１３０．０．０．１がデータベース１１０のＳＤＰ情報管理テーブル（図３ではＳＤＰテーブルと表記）に保持される（Ｓ１３１）。 Until the SIP communication control apparatus 10 receives the INVITE message transmitted from the IP telephone terminal A302-a and converts the Private address in the SIP message into a Global address, the Private and Global described with reference to FIG. This is similar to communication between terminals, and processing is performed as follows. When the NAT / FW device 20 receives the INVITE message transmitted from the IP telephone terminal A302-a, the NAT / FW device 20 performs the IP address conversion of the network layer and then performs the SIP address conversion in the application layer. Then, the INVITE message is transferred to the SIP communication control apparatus 10 for processing for controlling the FW. When the SIP communication control device 10 receives the INVITE message, the IP address conversion function 102 in the SIP message uses the IP address of the network layer converted by the NAT / FW device 20 by the IP address conversion function 102 to set the Private address in the SIP message to Global. Conversion into an address (S101, S102 in FIG. 4). In the example of FIG. 3, the private IP address 192.168.0.1 of the IP telephone terminal A302-a is converted to the global IP address 130.0.0.1 (S131). Next, in order to register the pinhole, the FW control function 101 stores the private address of the SDP and the converted global address in the SDP information management table of the database 110 (S103 in FIG. 4). In the example of FIG. 3, the private IP address of IP phone terminal A 302-a (indicated as “Local” in FIG. 3) 192.168.0.1 and the converted global IP address (indicated in FIG. 3 as converted Global) 130. 0.0.1 is held in the SDP information management table (denoted as the SDP table in FIG. 3) of the database 110 (S131).

ＳＩＰ通信制御装置１０でＳＩＰメッセージ内のアドレス変換が行われたＩＮＶＩＴＥメッセージは、ＮＡＴ／ＦＷ装置２０に戻され、ＳＩＰＳｅｒｖｅｒ３１２経由後、着信先がＩＰ電話端末Ａ３０２−ａが属するＰｒｉｖａｔｅネットワークと同一Ｐｒｉｖａｔｅネットワークであるため、ＩＮＶＩＴＥメッセージは再度ＮＡＴ／ＦＷ装置２０およびＳＩＰ通信制御装置１０を経由して折り返す。ここで、Ｐｒｉｖａｔｅから変換された変換後ＧｌｏｂａｌはＰｒｉｖａｔｅへ逆変換されるが、ＦＷ制御機能１０１はＧｌｏｂａｌアドレスとして、変換後Ｇｌｏｂａｌアドレスを取得する（図４のＳ１０４、ただし、この場合は、受信したメッセージは、２００ＯＫメッセージではなく、ＳＩＰＳｅｒｖｅｒ３１２経由で戻ってきたＩＮＶＩＴＥメッセージである）。図３の例では、ＳＩＰＳｅｒｖｅｒ３１２経由で戻ってきたＩＮＶＩＴＥメッセージの送信元ＧｌｏｂａｌＩＰアドレスとして１３０．０．０．１を取得する（Ｓ１３２）。ここで、ＦＷ制御機能１０１内の通信経路識別機能１０１０において、変換後ＧｌｏｂａｌアドレスとＧｌｏｂａｌアドレスを比較して（図４のＳ１０５）、本ケースに示したように同一となる場合は、同一ネットワーク内の通信であると判断して、データベース１１０のＳＤＰ情報管理テーブルへと保持しない（図４のＳ１０６）。図３の例では、Ｓ１３１においてデータベース１１０のＳＤＰ情報管理テーブルに格納されたＩＰ電話端末Ａ３０２−ａの変換後ＧｌｏｂａｌＩＰアドレス１３０．０．０．１と、ＳＩＰＳｅｒｖｅｒ３１２経由で戻ってきたＩＮＶＩＴＥメッセージの送信元ＧｌｏｂａｌＩＰアドレス１３０．０．０．１とを比較し、同一であるためこのＩＰアドレスをデータベース１１０のＳＤＰ情報管理テーブルへ保持しない（Ｓ１３２）。 The INVITE message whose address is converted in the SIP message by the SIP communication control device 10 is returned to the NAT / FW device 20, and after passing through the SIP Server 312, the destination is the same as the private network to which the private network to which the IP telephone terminal A302-a belongs. Since it is a network, the INVITE message is returned again via the NAT / FW device 20 and the SIP communication control device 10. Here, the converted Global converted from Private is reversely converted to Private, but the FW control function 101 acquires the converted Global address as the Global address (S104 in FIG. 4, but in this case, it is received) The message is not a 200 OK message but an INVITE message returned via the SIP Server 312). In the example of FIG. 3, 130.0.0.1 is acquired as the source global IP address of the INVITE message returned via the SIP server 312 (S132). Here, in the communication path identification function 1010 in the FW control function 101, the converted Global address and the Global address are compared (S105 in FIG. 4). Is not stored in the SDP information management table of the database 110 (S106 in FIG. 4). In the example of FIG. 3, the converted global IP address 130.0.0.1 of the IP telephone terminal A 302-a stored in the SDP information management table of the database 110 in S 131 and the INVITE message returned via the SIP Server 312. The source global IP address 130.0.0.1 is compared, and since it is the same, this IP address is not held in the SDP information management table of the database 110 (S132).

その後ＩＮＶＩＴＥメッセージはＩＰ電話端末Ｂ３０２−ｂに着信し、応答信号である２００ＯＫメッセージが生成される。ＩＰ電話端末Ｂで生成された応答信号２００ＯＫメッセージについても同様に、ＰｒｉｖａｔｅからＧｌｏｂａｌに変換する場合は、Ｐｒｉｖａｔｅアドレスと変換後Ｇｌｏｂａｌアドレスをデータベース１１０のＳＤＰ情報管理テーブルへと保持するが、ＧｌｏｂａｌからＰｒｉｖａｔｅの方向では変換後ＧｌｏｂａｌアドレスとＧｌｏｂａｌアドレスが同一となるためＳＤＰ情報管理テーブルへは保持しない。 Thereafter, the INVITE message arrives at the IP telephone terminal B302-b, and a 200 OK message as a response signal is generated. Similarly, in the case where the response signal 200 OK message generated by the IP telephone terminal B is converted from Private to Global, the Private address and the converted Global address are stored in the SDP information management table of the database 110. In the direction of Private, the global address after conversion and the Global address are the same, and therefore, they are not held in the SDP information management table.

以下、ＩＰ電話端末Ｂ３０２−ｂからの応答信号２００ＯＫメッセージの処理について詳細に説明する。 Hereinafter, processing of the response signal 200 OK message from the IP telephone terminal B302-b will be described in detail.

ＩＰ電話端末Ｂ３０２−ｂから送信された２００ＯＫメッセージをＮＡＴ／ＦＷ装置２０において受信すると、ＮＡＴ／ＦＷ装置２０は、ネットワークレイヤのＩＰアドレス変換を行なった後、アプリケーションレイヤにおけるＳＩＰのアドレス変換を行う処理およびＦＷを制御するための処理のため２００ＯＫメッセージをＳＩＰ通信制御装置１０へと転送する。ＳＩＰ通信制御装置１０では、２００ＯＫメッセージを受信すると、ＳＩＰメッセージ内のＩＰアドレス変換機能１０２により、ＮＡＴ／ＦＷ装置２０によって変換されたネットワークレイヤのＩＰアドレスに基づいて、ＳＩＰメッセージ内のＰｒｉｖａｔｅアドレスをＧｌｏｂａｌアドレスへと変換する（図４のＳ１０１、Ｓ１０２、ただし、この場合は、Ｓ１０１で受信したメッセージは、ＩＮＶＩＴＥメッセージではなく、ＩＰ電話端末Ｂ３０２−ｂからの応答信号である２００ＯＫメッセージである）。図３の例では、ＩＰ電話端末Ｂ３０２−ｂのＰｒｉｖａｔｅＩＰアドレス１９２．１６８．０．２をＧｌｏｂａｌＩＰアドレス１３０．０．０．２へ変換している（Ｓ１３３）。次に、ピンホールを登録するため、ＦＷ制御機能１０１においてＳＤＰのＰｒｉｖａｔｅアドレスと、変換後Ｇｌｏｂａｌアドレスをデータベース１１０のＳＤＰ情報管理テーブルへと格納する（図４のＳ１０３）。図３の例では、ＩＰ電話端末Ｂ３０２−ｂのＰｒｉｖａｔｅＩＰアドレス１９２．１６８．０．２と変換後のＧｌｏｂａｌＩＰアドレス１３０．０．０．２がデータベース１１０のＳＤＰ情報管理テーブルに保持される（Ｓ１３３）。 When the NAT / FW device 20 receives the 200 OK message transmitted from the IP telephone terminal B302-b, the NAT / FW device 20 performs IP address conversion in the network layer and then performs SIP address conversion in the application layer. The 200 OK message is transferred to the SIP communication control device 10 for processing and processing for controlling FW. Upon receiving the 200 OK message, the SIP communication control device 10 sets the private address in the SIP message based on the IP address of the network layer converted by the NAT / FW device 20 by the IP address conversion function 102 in the SIP message. Convert to a global address (S101, S102 in FIG. 4; however, in this case, the message received in S101 is not an INVITE message but a 200 OK message which is a response signal from the IP telephone terminal B302-b) . In the example of FIG. 3, the private IP address 192.168.0.2 of the IP telephone terminal B302-b is converted to the global IP address 130.0.0.2 (S133). Next, in order to register the pinhole, the FW control function 101 stores the private address of the SDP and the converted global address in the SDP information management table of the database 110 (S103 in FIG. 4). In the example of FIG. 3, the private IP address 192.168.0.2 of the IP telephone terminal B302-b and the translated global IP address 130.0.0.2 are held in the SDP information management table of the database 110 ( S133).

ＳＩＰ通信制御装置１０でＳＩＰメッセージ内のアドレス変換が行われた２００ＯＫメッセージは、ＮＡＴ／ＦＷ装置２０に戻され、ＳＩＰＳｅｒｖｅｒ３１２経由後、再度ＮＡＴ／ＦＷ装置２０およびＳＩＰ通信制御装置１０を経由して折り返す。ここで、Ｐｒｉｖａｔｅから変換された変換後ＧｌｏｂａｌはＰｒｉｖａｔｅへ逆変換されるが、ＦＷ制御機能１０１はＧｌｏｂａｌアドレスとして、変換後Ｇｌｏｂａｌアドレスを取得する（図４のＳ１０４）。図３の例では、ＳＩＰＳｅｒｖｅｒ３１２経由で戻された２００ＯＫメッセージの送信元ＧｌｏｂａｌＩＰアドレスとして１３０．０．０．２を取得する（Ｓ１３４）。ここで、ＦＷ制御機能１０１内の通信経路識別機能１０１０において、変換後ＧｌｏｂａｌアドレスとＧｌｏｂａｌアドレスを比較して（図４のＳ１０５）、同一ネットワーク内の通信であると判断して、データベース１１０のＳＤＰ情報管理テーブルへと保持しない（図４のＳ１０６）。図３の例では、Ｓ１３３においてデータベース１１０のＳＤＰ情報管理テーブルに格納されたＩＰ電話端末Ｂ３０２−ｂの変換後ＧｌｏｂａｌＩＰアドレス１３０．０．０．２と、ＳＩＰＳｅｒｖｅｒ３１２経由で戻された２００ＯＫメッセージの送信元ＧｌｏｂａｌＩＰアドレス１３０．０．０．２とを比較し、同一であるためこのＩＰアドレスをデータベース１１０のＳＤＰ情報管理テーブルへ保持しない（Ｓ１３４）。結局、情報が揃わないため、ＳＩＰ通信制御装置１０はＮＡＴ／ＦＷ装置２０にピンホール登録を行わない（Ｓ１３５）。ＮＡＴ／ＦＷ装置２０はＩＰ電話端末Ａ３０２−ａに２００ＯＫメッセージを送信する。ＩＰ電話端末Ａ３０２−ａとＩＰ電話端末Ｂ３０２−ｂは同一Ｐｒｉｖａｔｅネットワークに属してるため、ＮＡＴ／ＦＷ装置２０にピンホール登録がなされていなくても、メディア通信が可能である。 The 200 OK message whose address is converted in the SIP message by the SIP communication control device 10 is returned to the NAT / FW device 20, passes through the SIP Server 312, and then passes through the NAT / FW device 20 and the SIP communication control device 10 again. And turn it back. Here, the converted Global converted from Private is reversely converted to Private, but the FW control function 101 acquires the converted Global address as the Global address (S104 in FIG. 4). In the example of FIG. 3, 130.0.0.2 is acquired as the transmission source Global IP address of the 200 OK message returned via the SIP Server 312 (S134). Here, the communication path identification function 1010 in the FW control function 101 compares the converted Global address with the Global address (S105 in FIG. 4), determines that the communication is within the same network, and determines the SDP of the database 110. The information is not stored in the information management table (S106 in FIG. 4). In the example of FIG. 3, the translated global IP address 130.0.0.2 of the IP telephone terminal B 302-b stored in the SDP information management table of the database 110 in S 133 and the 200 OK message returned via the SIP Server 312. The source global IP address 130.0.0.2 is compared, and since it is the same, this IP address is not held in the SDP information management table of the database 110 (S134). Eventually, since the information is not complete, the SIP communication control device 10 does not perform pinhole registration in the NAT / FW device 20 (S135). The NAT / FW device 20 transmits a 200 OK message to the IP telephone terminal A302-a. Since IP phone terminal A 302-a and IP phone terminal B 302-b belong to the same private network, media communication is possible even if pinhole registration is not performed in NAT / FW device 20.

以上のような処理を追加することで、同一ネットワーク内の通信においてはデータベース１１０のＳＤＰ情報管理テーブルにＧｌｏｂａｌアドレスが保持されないため、ピンホール登録が行なわれず、不要なピンホールの開放を抑止することが可能となる。 By adding the above processing, the global address is not held in the SDP information management table of the database 110 in communication within the same network, so pinhole registration is not performed and unnecessary pinhole release is suppressed. Is possible.

以上説明したように、ピンホールを用いて不要なピンホールの登録を抑制する方法としては、ＰｒｉｖａｔｅからＧｌｏｂａｌ方向へ信号が通過する際に取得した「変換後Ｇｌｏｂａｌアドレス」と、ＧｌｄｂａｌからＰｒｉｖａｔｅ方向へ信号が通過する際に取得した「Ｇｌｏｂａｌアドレス」比較することが有効である。Ｇｌｏｂａｌネットワークに配備されたＳＩＰＳｅｒｖｅｒを経由して同一のＰｒｉｖａｔｅ側ネットワーク内の２端末で通信を行なう場合、すなわちＳＩＰＳｅｒｖｅｒで信号が折り返す場合は、「変換後Ｇｌｏｂａｌアドレス」と「Ｇｌｏｂａｌアドレス」は同一となるため、同一となる場合は「Ｇｌｏｂａｌアドレス」をＡＬＧ内部で管理するデータベースへと登録しないことで、「変換前Ｐｒｉｖａｔｅアドレス」「変換後Ｇｌｏｂａｌアドレス」「Ｇｌｏｂａｌアドレス」全ての情報が揃わなくなるためピンホールの登録を行なうことは無い。このような方法を用いることで、不要なピンホールの登録の抑制を行なうことが可能となる。 As described above, as a method of suppressing registration of unnecessary pinholes using pinholes, “translated global address” acquired when a signal passes from the private to the global direction, and from the gldbal to the private direction. It is effective to compare the “Global address” acquired when the signal passes. When communication is performed with two terminals in the same private network via the SIP server deployed in the global network, that is, when the signal is returned by the SIP server, the “global address after conversion” and the “global address” are the same. Therefore, if they are the same, by not registering the “Global address” in the database managed inside the ALG, all information of “Private address before conversion”, “Global address after conversion”, and “Global address” will not be available. There is no pinhole registration. By using such a method, it is possible to suppress registration of unnecessary pinholes.

本実施形態のＳＩＰ通信制御装置１０、ＮＡＴ／ＦＷ装置２０はその機能を実現する手段を備えている。また、本実施形態のＳＩＰ通信制御装置１０、ＮＡＴ／ＦＷ装置２０はコンピュータとプログラムによっても実現できる。 The SIP communication control device 10 and the NAT / FW device 20 of this embodiment are provided with means for realizing the functions. Further, the SIP communication control device 10 and the NAT / FW device 20 of the present embodiment can also be realized by a computer and a program.

以上、本発明者によってなされた発明を、前記実施形態に基づき具体的に説明したが、本発明は、前記実施形態に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。 As mentioned above, the invention made by the present inventor has been specifically described based on the embodiment. However, the invention is not limited to the embodiment, and various modifications can be made without departing from the scope of the invention. Of course.

本発明の実施形態のＳＩＰ通信制御装置およびＮＡＴ／ＦＷ装置を用いてＩＰアドレス体系の異なるネットワーク間においてＶｏＩＰ通信を行う際のシステムの全体構成の一例を説明するためのブロック図である。It is a block diagram for demonstrating an example of the whole structure of the system at the time of performing VoIP communication between networks in which IP address systems differ using the SIP communication control apparatus and NAT / FW apparatus of embodiment of this invention. 図２は、本発明の実施形態のＳＩＰ通信制御装置およびＮＡＴ／ＦＷ装置を用いて、Ｇｌｏｂａｌネットワークに配備されたＳＩＰＳｅｒｖｅｒを経由して、Ｐｒｉｖａｔｅネットワークの端末と、Ｇｌｏｂａｌネットワークの端末間でＶｏＩＰ通信を行う場合の一般的な信号シーケンスおよびＳＩＰ通信制御装置の動作概要を説明するための図である。FIG. 2 illustrates a VoIP communication between a private network terminal and a global network terminal via a SIP server deployed in the global network, using the SIP communication control apparatus and the NAT / FW apparatus according to the embodiment of the present invention. It is a figure for demonstrating the general signal sequence in the case of performing and operation | movement outline | summary of a SIP communication control apparatus. 図３は、本発明の実施形態のＳＩＰ通信制御装置およびＮＡＴ／ＦＷ装置を用いて、Ｇｌｏｂａｌネットワークに配備されたＳＩＰＳｅｒｖｅｒを経由して、同一のＰｒｉｖａｔｅネットワークの端末間でＶｏＩＰ通信を行う場合の一般的な信号シーケンスおよびＳＩＰ通信制御装置の動作概要を説明するための図である。FIG. 3 shows a case where VoIP communication is performed between terminals of the same private network via a SIP server deployed in the global network using the SIP communication control device and the NAT / FW device of the embodiment of the present invention. It is a figure for demonstrating the general signal sequence and the operation | movement outline | summary of a SIP communication control apparatus. 図４は、本発明の実施形態のＳＩＰ通信制御装置において、ＳＩＰメッセージを受信した後に、通信の経路を識別してピンホールを登録するか否かを判断する際の処理フローを示した図である。FIG. 4 is a diagram showing a processing flow when the SIP communication control apparatus according to the embodiment of the present invention determines whether to identify a communication path and register a pinhole after receiving a SIP message. is there.

Explanation of symbols

１０：ＳＩＰ通信制御装置
１００：情報処理部
１０１：ＦＷ制御機能
１０２：ＳＩＰメッセージ内のＩＰアドレス変換機能
１０１０：通信経路識別機能
２０：ＮＡＴ／ＦＷ装置
２００：ＦＷ機能
２１０：ＮＡＴ機能
３０：ネットワークＡ（Ｐｒｉｖａｔｅネットワーク）
３１：ネットワークＢ（Ｇｌｏｂａｌネットワーク）
３０１、３１１：スイッチ
３０２−ａ、３０２−ｂ、３１３：ＩＰ電話端末Ａ〜Ｃ
３１２：ＳＩＰＳｅｒｖｅｒ

10: SIP communication control device 100: Information processing unit 101: FW control function 102: IP address conversion function in SIP message 1010: Communication path identification function 20: NAT / FW device 200: FW function 210: NAT function 30: Network A (Private network)
31: Network B (Global network)
301, 311: Switches 302-a, 302-b, 313: IP telephone terminals A to C
312: SIP Server

Claims

A firewall (FW) function that performs access control based on a combination of a transmission / reception IP address of the network layer and a transmission / reception port number of the transport layer, and “Private IP address, Private port number” and “Global IP address, Global port number” In cooperation with NAT / FW devices that have NAT (Network Address Translation) function that performs conversion and reverse conversion of them,
IP address conversion function in SIP (Session Initiation Protocol) message, database managing SDP (Session Description Protocol) information, and IP address and port number used for media transmission / reception based on information registered in the database A SIP communication control device provided with a FW control function that allows only the media communication of the set of the IP address and port number to pass through the FW by registering the set in the NAT / FW device,
When acquiring the IP address and port number used for the media transmission / reception, the message “Global IP address and global port number” obtained when the message passes from the private network to the global network, and the message is sent from the global network to the private network. Means for comparing “Global IP address, Global port number” acquired when passing to
If the "Global IP address, Global port number" after the conversion is not the same as the "Global IP address, Global port number" obtained when passing from the Global network to the Private network, the Global network passes to the Private network. Means for registering a set of “Global IP address and Global port number” acquired at the time in the database;
If the “Global IP address, Global port number” after the conversion is the same as the “Global IP address, Global port number” obtained when passing from the Global network to the Private network, the Global network passes to the Private network. Means for not registering the set of “Global IP address and Global port number” acquired in the database to the database;
A SIP communication control apparatus for performing FW control, comprising:

A firewall (FW) function that performs access control based on a combination of a transmission / reception IP address of the network layer and a transmission / reception port number of the transport layer, and “Private IP address, Private port number” and “Global IP address, Global port number” In cooperation with NAT / FW devices that have NAT (Network Address Translation) function that performs conversion and reverse conversion of them,
IP address conversion function in SIP (Session Initiation Protocol) message, database managing SDP (Session Description Protocol) information, and IP address and port number used for media transmission / reception based on information registered in the database Is a FW control method in a SIP communication control device provided with a FW control function that allows only media communication of the set of the IP address and port number to pass through the FW control function by registering the set in the NAT / FW device. And
When acquiring the IP address and port number used for the media transmission / reception, the message “Global IP address and global port number” obtained when the message passes from the private network to the global network, and the message is sent from the global network to the private network. Comparing the “Global IP address, Global port number” obtained when passing to
If the "Global IP address, Global port number" after the conversion is not the same as the "Global IP address, Global port number" obtained when passing from the Global network to the Private network, the Global network passes to the Private network. Registering a set of “Global IP address, Global port number” acquired at the time in the database;
If the “Global IP address, Global port number” after the conversion is the same as the “Global IP address, Global port number” obtained when passing from the Global network to the Private network, the Global network passes to the Private network. Not registering the set of “Global IP address, Global port number” acquired in the process in the database;
A FW control method in a SIP communication control device, comprising: